VG Karlsruhe: Datenschutzbehörden dürfen Vorschriften der DSGVO erst ab 25.05.2018 durchsetzen

Das VG Karlsruhe hat mit Urteil vom 06.07.2017 (Az.: 10 K 7698/16) entschieden, dass die Vorgaben der DSGVO erst ab dem 25.05.2018 anwendbar und durchsetzbar sind. Dies gilt unabhängig davon, dass die DSGVO bereits am 24.05.2016 in Kraft getreten ist.

Dem Urteil des VG Karlsruhe war ein Bescheid des Landesbeauftragten für Datenschutz in Baden-Württemberg (LfDI) vorausgegangen, mit dem eine Auskunftei verpflichtet werden sollte, Forderungen gem. § 28 a BDSG und die damit zusammenhängenden  Informationen über Personen, die die Auskunftei nach dem 24.05.2018 speichere, spätestens nach drei Jahren zu löschen, sofern der Betroffene zahlungsfähig und zahlugnswillig sei. Das LfDI hatte den Verwatlungsakt auf die Verhinderung von Missständen nach dem 24.05.2018 gestützt, da der noch geltende § 35 II 2 Nr. 4 BDSG, der bestimmte Fristen zur Prüfung für die Löschung von Daten vorsieht, keine Entsprechung in der DSGVO und dem neuen BDSG findet.

Das VG Karlsruhe hat der Anfechtungsklage der Auskunftei stattgegeben. Es fehle bereits an einer entsprechenden Ermächtigungsgrundlage.

Der LfDI wollte seine Verfügung auf § 38 V 1 BDSG iVm Erwägungsgrund 39 DSGVO stützen, nach dem der Verantwortliche Fristen für die Löschung oder regelmäßige Überprüfung personenbezogener Daten vorsehen soll, um zu gewährleisten, dass Daten nicht unnötig lang gespeichert werden. Jedoch ergibt sich aus Erwägungsgrund 39 DSGVO aber nicht, dass die Verantwortliche bereits vor Geltung DSGVO verpflichtet wäre, der Verfügung entsprechende Überprüfungs- und Löschfristen einzuführen und sie hierzu bereits vor Anwendbarkeit DSGVO durch die Aufsichtsbehörde verpflichtet werden könnte. Zudem hatte der LfDI zur Begründung auf Art. 58 II lit. d) DSGVO verwiesen. Danach verfügt jede Aufsichtsbehörde über Abhilfebefugnisse, die es ihr gestatten, den Verantwortlichen oder den Auftragsverarbeiter anzuweisen, Verarbeitungsvorgänge gegebenenfalls auf bestimmte Weise und innerhalb eines bestimmten Zeitraums in Einklang mit der DSGVO zu bringen. Aber auch Art. 58 DSGVO ist erst ab dem 25.05.2018 anwendbar.

Das VG Karlsruhe stellte zudem fest, dass die derzeit geltende Regelung des § 35 II 2 Nr. 4 BDSG mit der Neufassung des BDSG nicht fortbestehen wird. Die DSGVO enthält  keine konkreten Vorgaben zu den Prüf- und Löschfristen. Dies ist allenfalls aus Erwägungsgrund 39 DSGVO zu entnehmen. Auch stellte das VG Karlsruhe fest, dass die vom LfDI vorgesehende dreijährige Frist nicht die einzig mögliche  Speicher- und Löschkonzeption ist, die mit der DSGVO in Einklang steht.

Vielmehr muss sich die künftige Prüf- und Löschpraxis am Maßstab des Art. 5 Abs. 1 lit. e) DSGVO messen lassen, der aber vor allem im Hinblick auf den Anknüpfungspunkt und die Länge der Friste einen gewissen Spielraum eröffnet.

Quelle:
de lege data – Beitrag vom 30.08.2017 von Carlo Piltz

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*